Win10 判斷上次是關機還是休眠：PowerShell 查詢 Kernel-Boot 事件 ID 27

Windows 10 支援「快速啟動」(混合關機)、休眠、完全關機三種關機模式。若想確認上一次關機類型，可用 PowerShell 查詢事件記錄 Microsoft-Windows-Kernel-Boot 事件 ID 27 的資料載荷。

查詢指令

1. 以系統管理員身分開啟 PowerShell (Win+X → Windows PowerShell (系統管理員))。
2. 執行：

Get-WinEvent -ProviderName Microsoft-Windows-Kernel-Boot -MaxEvents 10 | Where-Object {$_.Id -eq 27}

英文版系統若無輸出，改用訊息比對：

Get-WinEvent -ProviderName Microsoft-Windows-Kernel-Boot -MaxEvents 10 | Where-Object {$_.Message -like "The boot type*"}

結果對照表

應用場景

• 驗證快速啟動是否真正生效 (應為 0x1)。
• 排查「關機後 USB 仍供電」問題：休眠/快速啟動會保留 USB 電源，完全關機則斷電 (視主機板設定)。
• 腳本自動化稽核企業電腦關機合規性。

補充指令

查看最近 5 次開機類型：

Get-WinEvent -ProviderName Microsoft-Windows-Kernel-Boot -MaxEvents 5 | Where-Object {$_.Id -eq 27} | Select-Object TimeCreated, @{Name='BootType';Expression={$_.Properties[0].Value}}

輸出範例：
TimeCreated BootType
----------- --------
2024/5/20 08:00 1 ← 快速啟動
2024/5/19 22:30 2 ← 休眠
2024/5/19 07:55 1 ← 快速啟動